-
Technisches Gebiet
-
Die vorliegende Erfindung betrifft ein elektrisches Versorgungssystem. Ferner betrifft die vorliegende Erfindung ein Verfahren zum Betreiben eines elektrischen Versorgungssystems.
-
Stand der Technik
-
Die vorliegende Erfindung wird im Folgenden hauptsächlich in Verbindung mit elektrischen Fahrzeugsystemen beschrieben. Es versteht sich aber, dass die vorliegende Erfindung auch in Verbindung mit anderen elektrischen Systemen genutzt werden kann.
-
In modernen Fahrzeugen wird eine Vielzahl von elektrischen Fahrzeugsystemen eingesetzt. Solche Fahrzeugsysteme können beispielsweise Komfortfunktionen für die Insassen des Fahrzeugs bereitstellen. Als Komfortfunktionen werden üblicherweise beispielsweise die Klimaanlage, elektrisch verstellbare Sitze beziehungsweise Spiegel und dergleichen bezeichnet. Andere Fahrzeugsysteme können den Fahrer aber auch beim Führen des Fahrzeugs unterstützen. Dies geht soweit, dass die Fahrzeugsysteme den Fahrer nicht nur unterstützen, sondern für diesen das Fahrzeug autonom führen und damit auch die Verantwortung über das Fahrzeug übernehmen. Solche Fahrzeugsysteme werden üblicherweise mit einem Sicherheitslevel, beispielsweise einem ASIL-Level von ASIL-D (ASIL = Automotive Safety Integrity Level gemäß ISO 26262), klassifiziert, was der höchsten Einstufung gemäß den ASIL-Levels A - D und QM („quality management“) entspricht.
-
Insbesondere für Fahrzeugsysteme, die das Fahrzeug (teil-, halb- oder voll-) autonom führen, muss eine sichere Energieversorgung sichergestellt werden, sodass ein Ausfall beispielsweise einer Energiequelle in dem Fahrzeug nicht zu einem undefinierten beziehungsweise unkontrollierten Verhalten des Fahrzeugs führt. Fahrzeugsysteme mit erhöhten Sicherheitsanforderungen werden daher in einem Fahrzeug üblicherweise über zwei redundante Energienetze mit elektrischer Energie versorgt.
-
Dazu können beispielsweise ein primäres und ein sekundäres Energienetz mit jeweils einer eigenen Energiequelle bereitgestellt werden, welche solche Fahrzeugsysteme bei Bedarf mit elektrischer Energie versorgen können. Die Energiequelle, beispielsweise eine Batterie, des sekundären Energienetzes kann dabei bis zum Eintreten eines Fehlers in dem primären Energienetz beispielsweise aus dem primären Energienetz geladen werden. Üblicherweise werden Systeme, die nicht sicherheitsrelevant sind, über eines der zwei Energienetze versorgt.
-
Eine Architektur mit zwei Energienetzen stellt dabei erhöhte Anforderungen an die Trennung zwischen den zwei Energienetzen. Beispielsweise darf ein Fehler in einem der Energienetze nicht zum Versagen des anderen Energienetzes führen. Dies führt dazu, dass insbesondere Elemente, welche beide Energienetze verbinden, üblicherweise mit der Sicherheitsstufe ASIL D eingestuft werden und entsprechende Anforderungen erfüllen müssen.
-
Dokument
DE 100 20 141 A1 zeigt ein Bordnetzsystem mit einem Fahrzeugbordnetz und mindestens einem sicherheitsrelevanten Teilbordnetz, wobei das sicherheitsrelevante Teilbordnetz über eine Spannungsversorgung verfügt und von dem Fahrzeugbordnetz elektrisch getrennt werden kann. Dokument
DE 10 2016 103 829 A1 zeigt eine Energieversorgungseinheit, welche z.B. das Bereitstellen einer globalen ersten Spannungsebene und einer zusätzlichen, fahrzeugbezogenen lokalen zweiten Spannungsebene ermöglicht. Dokument
DE 10 2014 214 103 A1 zeigt ein Bordnetz, mit Teilbordnetzen in denen sicherheitsrelevante Verbraucher unabhängig von dem Hauptbordnetz betrieben werden können. Dokument
DE 197 34 598 C1 zeigt ebenfalls ein Bordnetz, mit Teilbordnetzen in denen sicherheitsrelevante Verbraucher unabhängig von dem Hauptbordnetz betrieben werden können.
-
Beschreibung der Erfindung
-
Eine Aufgabe der Erfindung ist es daher, unter Einsatz konstruktiv möglichst einfacher Mittel eine sichere Versorgung elektrischer Verbraucher mit elektrischer Energie zu ermöglichen.
-
Die Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen, der Beschreibung und den begleitenden Figuren angegeben. Insbesondere können die unabhängigen Ansprüche einer Anspruchskategorie auch analog zu den abhängigen Ansprüchen einer anderen Anspruchskategorie weitergebildet sein.
-
Die vorliegende Erfindung basiert auf der Erkenntnis, dass es mit hohem Aufwand verbunden ist, wenn elektrische Verbraucher unterschiedlicher Sicherheitslevel, also beispielsweise ASIL-B mit QM, gemeinsam in einem Versorgungsnetz betrieben werden sollen.
-
Die oben bereits erwähnten Fahrzeugsysteme, die beispielsweise mit dem Sicherheitslevel ASIL-D eingestuft sein können, können auf Grund der Dekomposition der ASIL-Level bei redundanter Versorgung aus zwei Versorgungsnetzen mit dem Sicherheitslevel ASIL-B(D) versorgt werden. Befinden sich nun Verbraucher mit niedrigerem Sicherheitslevel, also beispielsweise QM („quality management“), in einem der zwei Versorgungsnetze, werden diese automatisch mit dem Sicherheitslevel ASIL-B(D) belegt und müssen folglich die entsprechenden Anforderungen erfüllen. Um mit bereits verfügbaren Systemen, die bisher den Sicherheitslevel QM erfüllen, die Anforderungen des Sicherheitslevels ASIL-B(D) erfüllen zu können, müssten diese aufwändig qualifiziert und eventuell verändert werden.
-
Ferner würde ein Fehler eines solchen Systems mit bisherigem Sicherheitslevel QM beziehungsweise ein Spannungseinbruch durch eine konstruktive Überlagerung der Lasten in dem Versorgungsnetz zu einem sofortigen Übergang in einen Notmodus führen und das Fahrzeug würde als sog. „Liegenbleiber“ stillgelegt.
-
Ferner werden in üblichen Bordnetzarchitekturen mit zwei Versorgungsnetzen Verbindungselemente zwischen den zwei Versorgungsnetzen vorgesehen. Solche Verbindungselemente können im Normalbetrieb beispielsweise den Energiespeicher in dem zweiten beziehungsweise sekundären Versorgungsnetz laden. Ein Fehler in einem solchen Verbindungselement könnte aber beide Versorgungsnetze beeinträchtigen. Folglich würde ein solches Verbindungselement mit dem sehr hohen Sicherheitslevel ASIL-D eingestuft und müsste die entsprechenden Anforderungen erfüllen.
-
Um die oben genannten Nachteile einer Architektur mit zwei Versorgungsnetzen zu umgehen, schlägt die vorliegende Erfindung ein elektrisches Versorgungssystem vor, welches drei Versorgungsnetze aufweist. Das erste Versorgungsnetz und das zweite Versorgungsnetz dienen dabei beide der Versorgung elektrischer Verbraucher oder Systeme mit dem gleichen Sicherheitslevel, also beispielsweise ASIL-D. Solche Verbraucher können im Folgenden auch als ASIL-Verbraucher bezeichnet werden. Das dritte Versorgungsnetz dient der Versorgung elektrischer Verbraucher oder Systeme mit einem niedrigeren Sicherheitslevel, die beispielsweise nicht als sicherheitsrelevant eingestuft sind, also beispielsweise den Sicherheitslevel QM erhalten haben. Solche Verbraucher können im Folgenden auch als QM-Verbraucher bezeichnet werden. Der erste Sicherheitslevel kann also als sicherheitskritisch eingestufte Verbraucher aufweisen, während der zweite Sicherheitslevel als nicht-sicherheitskritisch eingestufte Verbraucher aufweisen kann. Beispielhafte Verbraucher, welche üblicherweise als sicherheitskritisch eingestuft werden, können beispielsweise elektronische Lenksysteme, Stabilitätskontrollsysteme, elektronische Bremssysteme und dergleichen sein. Als nicht-sicherheitskritisch werden üblicherweise alle Komfortsysteme, beispielsweise Heizung beziehungsweise Klimatisierung, Multimedia-Einheiten und elektrische Verstellung beispielsweise für Sitze und Spiegel eingestuft.
-
Um eine Trennung der elektrischen Verbraucher beziehungsweise der Versorgungsnetze nach Sicherheitslevel zu ermöglichen, sieht die vorliegende Erfindung die steuerbaren Trennelemente vor. Jeweils eines der Trennelemente ist zwischen dem ersten Versorgungsnetz und dem dritten Versorgungsnetz und eines zwischen dem zweiten Versorgungsnetz und dem dritten Versorgungsnetz angeordnet.
-
Dies führt dazu, dass im Normalzustand beziehungsweise im fehlerfreien Zustand das erste Versorgungsnetz und das zweite Versorgungsnetz über das dritte Versorgungsnetz miteinander gekoppelt werden. Ein Energiefluss ist folglich zwischen dem dritten Versorgungsnetz und dem ersten beziehungsweise zweiten Versorgungsnetz möglich.
-
Es versteht sich, dass die Verbraucher in dem ersten Versorgungsnetz und in dem zweiten Versorgungsnetz zumindest teilweise die gleichen Verbraucher sein können, die redundant mit elektrischer Energie versorgt werden. Dies ist insbesondere beispielsweise dann der Fall, wenn die Funktion des jeweiligen Verbrauchers nicht durch einen anderen Verbraucher ersetzt werden kann, wie beispielsweise bei einer elektronischen Lenkung.
-
Es können auch unterschiedliche Verbraucher durch das erste und das zweite Versorgungsnetz versorgt werden. Dies ist insbesondere beispielsweise dann der Fall, wenn die Funktion eines Verbrauchers durch einen anderen Verbraucher ersetzt werden kann. Beispielsweise kann die Funktion einer elektronischen Bremse bei geeigneter Auslegung auch durch ein Stabilitätskontrollsystem, auch ESP genannt, bereitgestellt werden.
-
Durch die steuerbaren Trennelemente wird es nun möglich, die Versorgungsnetze jederzeit gesteuert, also beispielsweise bei Erkennung eines Fehlers, zu trennen. Beispielsweise können das erste und das zweite Trennelement geöffnet werden, wenn ein Fehler eines QM-Verbrauchers in dem dritten Versorgungsnetz zu einem Spannungseinbruch in diesem führt. Ferner kann beispielsweise das erste Trennelement geöffnet werden, wenn in dem ersten Versorgungsnetz ein Fehler auftritt. Gleiches gilt für das zweite Trennelement. Ferner kann beispielsweise das erste Trennelement geöffnet werden, falls das zweite Trennelement defekt ist und ein Fehler in dem zweiten Versorgungsnetz zu einem Spannungseinbruch führt. Die Versorgung der elektrischen Verbraucher durch das erste Versorgungsnetz wäre folglich weiterhin sichergestellt.
-
Das elektrische Versorgungssystem gemäß der vorliegenden Erfindung stellt also zwei unabhängige Versorgungsnetze für sicherheitskritische elektrische Verbraucher bereit. Ferner garantiert das elektrische Versorgungssystem deren Interferenzfreiheit, das erste und das zweite Versorgungsnetz werden folglich nicht durch Fehler in dem dritten Versorgungsnetz beeinflusst beziehungsweise können von dessen Einflüssen entkoppelt werden. Ferner können bei einem einfachen Fehler beziehungsweise einem Einfach-Fehler in dem ersten oder dem zweiten Versorgungsnetz die Verbraucher mit dem ersten Sicherheitslevel über das fehlerfreie Versorgungsnetz weiterversorgt werden und ein autonomer Weiterbetrieb, zumindest eingeschränkt (sog. „Limp home“ Modus), gewährleistet werden.
-
Da das erste Versorgungsnetz und das zweite Versorgungsnetz eine redundante und unabhängige Versorgung der ASIL-Verbraucher gewährleisten, kann ferner der Sicherheitslevel für die steuerbaren Trennelemente durch Dekomposition beispielsweise von ASIL-D jeweils auf ASIL-B(D) gesenkt werden.
-
Mit dem elektrischen Versorgungssystem der vorliegenden Erfindung wird es folglich möglich, ASIL-Verbraucher redundant und unabhängig mit elektrischer Energie zu versorgen und gleichzeitig QM-Verbraucher ohne erhöhte Anforderungen an deren Sicherheit zu betreiben. Dies ermöglicht insbesondere die Weiter- beziehungsweise Wiederverwendung bereits bestehender Systeme in modernen Fahrzeugen.
-
Weitere Ausführungsformen und Weiterbildungen ergeben sich aus den Unteransprüchen sowie aus der Beschreibung unter Bezugnahme auf die Figuren.
-
In einer Ausführungsform kann das elektrische Versorgungssystem eine Hauptenergiequelle aufweisen, welche in dem dritten Versorgungsnetz angeordnet ist. Ferner kann das elektrische Versorgungssystem eine erste Versorgungsenergiequelle, welche in dem ersten Versorgungsnetz angeordnet ist, und eine zweite Versorgungsenergiequelle aufweisen, welche in dem zweiten Versorgungsnetz angeordnet ist.
-
Die Hauptenergiequelle kann beispielsweise ein Generator beziehungsweise eine Lichtmaschine in einem Fahrzeug sein. Die Hauptenergiequelle kann beispielsweise auch ein Spannungswandler sein, der aus einer Hochvoltbatterie, beispielsweise mit einer Spannung von mehreren 100 V, in einem Elektrofahrzeug eine Spannung von beispielsweise 12 V oder 48 V für die elektrischen Verbraucher in dem ersten, zweiten und dritten Versorgungsnetz erzeugt.
-
Bei bestehender Kopplung des ersten und des zweiten Versorgungsnetzes mit dem dritten Versorgungsnetz kann die elektrische Energie, welche von der Hauptenergiequelle erzeugt wird, in das erste und das zweite Versorgungsnetz übertragen werden. Dort können beispielsweise in den Versorgungsenergiequellen vorhandene Energiespeicher aufgeladen werden.
-
In einer Ausführungsform kann die erste Versorgungsenergiequelle eine Fahrzeugbatterie aufweisen und die erste Versorgungsenergiequelle kann ausgebildet sein, in einem fehlerfreien Betrieb des elektrischen Versorgungssystems die elektrischen Verbraucher des dritten Versorgungsnetzes mit elektrischer Energie zu versorgen.
-
Die Fahrzeugbatterie kann beispielsweise die in einem Fahrzeug üblicherweise vorhandene 12-V-Batterie beziehungsweise eine in modernen Fahrzeugen eingesetzte 48-V-Batterie sein. Solche Batterien können beispielsweise als Bleigel-Batterien oder als Lithium-Ionen-Batterien ausgebildet sein. Es versteht sich, dass ein entsprechendes Batterie- und Lademanagement vorgesehen sein kann.
-
Wird die Fahrzeugbatterie als erste Versorgungsenergiequelle, also als die Energiequelle des ersten Versorgungsnetzes genutzt, steht Energie aus der Fahrzeugbatterie auch dann zur Verfügung, wenn die Hauptenergiequelle, beispielsweise eine Lichtmaschine, keine Energie liefert beziehungsweise liefern kann. Ferner kann eine redundante Versorgung der ASIL-Verbraucher in dem elektrischen Versorgungsnetz mit lediglich einer zusätzlichen Energiequelle in dem zweiten Versorgungsnetz sichergestellt werden. Es müssen also zusätzlich zu der Fahrzeugbatterie nicht jeweils in dem ersten und dem zweiten Versorgungsnetz zusätzliche Energiequellen beziehungsweise Energiespeicher bereitgestellt werden.
-
Die Verbraucher des dritten Versorgungsnetzes können im Betrieb durch die Hauptenergiequelle und die erste Versorgungsenergiequelle versorgt werden. Dies entspricht in etwa der üblichen Kombination aus einer Lichtmaschine und einer 12-V-Batterie, wie sie in heutigen Fahrzeugen üblich ist. Beispielsweise kann die erste Versorgungsenergiequelle Lastspitzen ausgleichen und ein Einbrechen der Spannung aus der Hauptenergiequelle verhindern.
-
In einer weiteren Ausführungsform kann die zweite Versorgungsenergiequelle einen Energiespeicher, insbesondere eine Batterie, aufweisen.
-
Der Energiespeicher in der zweiten Versorgungsenergiequelle kann beispielsweise lediglich als Notversorgung für die elektrischen Verbraucher vorgesehen werden, wird also nur im Fehlerfall benötigt. Aus diesem Grund kann der Energiespeicher mit einer eingeschränkten Kapazität von beispielsweise 10 Ah vorgesehen werden. Mögliche Energiespeicher sind beispielsweise Batterien, insbesondere Lithium-Ionen-Batterien, oder sog. Super-Caps. Es versteht sich, dass eine entsprechende Lade- beziehungsweise Steuerschaltung für den Energiespeicher vorgesehen sein kann.
-
Ein solcher Energiespeicher kann dann je nach Energiebedarf der entsprechenden Verbraucher für eine gewisse Zeit beispielsweise einen uneingeschränkten beziehungsweise einen eingeschränkten Betrieb ermöglichen. Der eingeschränkte Betrieb kann dabei auch als Degradation des jeweiligen Verbrauchers bezeichnet werden.
-
In einer weiteren Ausführungsform kann das zweite steuerbare Trennelement einen Spannungswandler aufweisen, welcher ausgebildet ist eine Spannung in dem dritten Versorgungsnetz in eine Ladespannung für die zweite Versorgungsenergiequelle zu wandeln.
-
Die zweite Versorgungsenergiequelle beziehungsweise der Energiespeicher in dem zweiten Versorgungsnetz kann ein anderes Spannungsniveau aufweisen als beispielsweise die Hauptenergiequelle und die erste Versorgungsenergiequelle. Der Spannungswandler dient folglich dazu, elektrische Energie mit der benötigten Spannung in das zweite Versorgungsnetz einzuspeisen.
-
In einer Ausführungsform kann das erste steuerbare Trennelement und/oder das zweite steuerbare Trennelement in einem Lastpfad eine Anzahl, also eines oder mehrere, von halbleiterbasierten Schaltelementen aufweisen. Ferner kann das erste steuerbare Trennelement und/oder das zweite steuerbare Trennelement eine Steuereinheit aufweisen, welche mit den halbleiterbasierten Schaltelementen gekoppelt ist und ausgebildet ist, die halbleiterbasierten Schaltelemente anzusteuern.
-
Das erste beziehungsweise zweite steuerbare Trennelement kann beispielsweise einen bidirektionalen Trennschalter aufweisen, der zwei MOSFETs aufweist, die in gegengesetzter Polarisierung in einer Reihenschaltung angeordnet sind. Sind die MOSFETs durchgesteuert, kann durch jeden der MOSFETs ein Strom mit der entsprechenden Polarität fließen. Ferner wird der Strom auch über die Diode des jeweils anderen MOSFETs geleitet. Ein bidirektionaler Stromfluss ist folglich möglich. Werden die MOSFETs nicht durchgesteuert, kann folglich kein Strom mehr durch das erste steuerbare Trennelement fließen.
-
Die Steuereinheit kann eine Überwachung der Spannung in dem ersten beziehungsweise zweiten Versorgungsnetz und dem dritten Versorgungsnetz durchführen und die halbleiterbasierten Schaltelemente beispielsweise entsprechend ansteuern.
-
Beispielsweise kann die Steuereinheit die halbleiterbasierten Schaltelemente durchsteuern, wenn die Spannungen in dem ersten beziehungsweise zweiten und dem dritten Versorgungsnetz innerhalb eines vorgegebenen Spannungsbereichs liegen. Die Spannung in dem ersten beziehungsweise zweiten und dem dritten Versorgungsnetz kann aber beispielsweise auf Grund eines Fehlers in einem der Verbraucher des ersten beziehungsweise zweiten oder dritten Versorgungsnetzes unter eine vorgegebene Schwelle fallen. In diesem Fall kann die Steuereinheit die halbleiterbasierten Schaltelemente öffnen beziehungsweise nicht mehr ansteuern.
-
Beispielsweise kann die Steuereinheit ausgebildet sein, bei einem 12-V-Versorgungsnetz das entsprechende steuerbare Trennelement zu öffnen, wenn die Spannung unter einen Wert von 10,5 V oder dergleichen fällt. Insbesondere kann der Spannungsschwellwert über einer Reset-Schwelle der Verbraucher in dem jeweiligen Versorgungsnetz liegen.
-
Das erste beziehungsweise zweite Versorgungsnetz würde folglich von dem dritten Versorgungsnetz getrennt und die Spannung in dem fehlerfreien Versorgungsnetz würde stabilisiert. Es versteht sich, dass beispielsweise lediglich das erste Versorgungsnetz von dem dritten Versorgungsnetz getrennt werden kann und das zweite Versorgungsnetz bis zu einem anderen Spannungsgrenzwert beispielsweise über einen Spannungswandler mit dem dritten Versorgungsnetz gekoppelt bleibt.
-
Es versteht sich, dass weitere Überwachungen beziehungsweise eine Kommunikationsschnittstelle in der Steuereinheit vorgesehen sein können. So wird es möglich, die Steuereinheit auch extern, beispielsweise über einen Fahrzeugbus, anzusteuern.
-
In einer Ausführungsform kann die Steuereinheit in dem ersten steuerbaren Trennelement den gleichen Sicherheitslevel aufweisen, wie die elektrischen Verbraucher in dem ersten Versorgungsnetz. Zusätzlich oder alternativ kann die Steuereinheit in dem zweiten steuerbaren Trennelement den gleichen Sicherheitslevel aufweisen, wie die elektrischen Verbraucher in dem zweiten Versorgungsnetz.
-
Die Funktionalität der Verbraucher in dem ersten beziehungsweise zweiten Versorgungsnetz wird durch die steuerbaren Trennelemente sichergestellt. Lediglich auf Grund der Dekomposition beispielsweise eines ASIL-D in zwei ASIL-B(D) können die Anforderungen an die einzelnen Versorgungsnetze gering gehalten werden.
-
Es versteht sich, dass die Überwachung der Versorgungsnetze beziehungsweise die Ansteuerung der steuerbaren Trennelemente und die entsprechende Überwachung daher dem gleichen Sicherheitslevel genügen müssen.
-
Figurenliste
-
Nachfolgend werden vorteilhafte Ausführungsbeispiele der Erfindung unter Bezugnahme auf die begleitenden Figuren erläutert. Es zeigen:
- 1 ein Blockschaltbild eines elektrischen Versorgungssystems gemäß dem Stand der Technik;
- 2 ein Blockschaltbild eines Ausführungsbeispiels eines elektrischen Versorgungssystems gemäß der vorliegenden Erfindung;
- 3 ein Blockschaltbild eines Ausführungsbeispiels eines elektrischen Versorgungssystems gemäß der vorliegenden Erfindung;
- 4 ein Blockschaltbild eines Ausführungsbeispiels eines Trennelements gemäß der vorliegenden Erfindung; und
- 5 ein Ablaufdiagramm eines Ausführungsbeispiels eines Verfahrens gemäß der vorliegenden Erfindung.
-
Die Figuren sind lediglich schematische Darstellungen und dienen nur der Erläuterung der Erfindung. Gleiche oder gleichwirkende Elemente sind durchgängig mit den gleichen Bezugszeichen versehen.
-
Detaillierte Beschreibung
-
1 zeigt ein Blockschaltbild eines elektrischen Fahrzeugsystems FS gemäß dem Stand der Technik. Das Fahrzeugsystem FS weist zwei separate Versorgungsnetze auf, die symbolisch durch eine gestrichelte Linie getrennt werden. Das erste Versorgungsnetz (links) weist eine erste Energiequelle Q1 auf, die beispielsweise eine Batterie sein kann. Ebenso weist das zweite Versorgungsnetz (rechts) eine zweite Energiequelle Q2 auf, die beispielsweise auch eine Batterie sein kann. In dem ersten Versorgungsnetz ist ferner eine dritte Energiequelle Q3 angeordnet. Diese dritte Energiequelle Q3 kann beispielsweise ein DC/DC-Wandler sein, der in einem Elektrofahrzeug aus der Spannung der Fahrzeughochvoltbatterie eine 12-V-Spannung erzeugt.
-
In dem ersten Versorgungsnetz ist ferner eine Anzahl von Systemen mit der Sicherheitseinstufung QM (schematisch als Quadrat dargestellt, im Folgenden „QM-Systeme“) angeordnet, die über das erste Versorgungsnetz mit elektrischer Energie versorgt werden. Ferner ist ein Schalter SW vorgesehen, welcher die QM-Systeme bei einem Überstrom beziehungsweise einer Unterspannung von dem ersten Versorgungsnetz trennt.
-
Das zweite Versorgungsnetz ist mit dem ersten Versorgungsnetz über einen Spannungswandler DCDC gekoppelt. Dieser ist nötig, da die zweite Energiequelle Q2 eine andere Ladespannung aufweist, als die erste Energiequelle Q1. Die erste Energiequelle Q1 kann beispielsweise eine übliche 12-V-Fahrzeugbatterie sein, während die zweite Energiequelle Q2 eine spezielle Lithium-Ionen-Batterie für eine Notstromversorgung sein kann. Eine solche Lithium-Ionen-Batterie weist eine höhere Ladespannung auf, als beispielsweise eine 12-V-Fahrzeugbatterie. Die Ladespannung der zweite Energiequelle Q2 kann daher beispielsweise bei 16 V oder dergleichen liegen.
-
Zwischen dem ersten und dem zweiten Versorgungsnetz sind als sicherheitsrelevant eingestufte Systeme (im Folgenden ASIL-Systeme) angeordnet, die je nach Bedarf aus beiden Versorgungsnetzen über die Verteiler V1, V2 mit elektrischer Energie versorgt werden können.
-
Das gezeigte Fahrzeugsystem FS geht von einer redundanten Versorgung aus, bei welchem die zwei Versorgungsnetze im Fehlerfall voneinander durch den Spannungswandler DCDC getrennt werden können.
-
Werden die ASIL-Systeme beispielsweise als ASIL-D-Systeme eingestuft, erlaubt der redundante Versorgungsansatz eine Dekomposition in ASIL-B(D) + ASIL-B(D), also eine Einstufung von ASIL-B für jedes der Versorgungsnetze. Allerdings hat die Unabhängigkeit der zwei Versorgungsnetze weiterhin die Einstufung ASIL-D.
-
Kann aus einem der Versorgungsnetze keine Versorgung der ASIL-Systeme erfolgen, muss das Fahrzeug in einen Notmodus übergehen und in einen sicheren Zustand wechseln (üblicherweise Stillstand des Fahrzeugs).
-
Diese bekannte Anordnung hat den Nachteil, dass die QM-Systeme in einem Versorgungsnetz angeordnet werden, welches die Einstufung ASIL-B(D) erhält. Folglich „erben“ auch alle QM-Systeme diese Einstufung und müssen die entsprechenden Anforderungen erfüllen. Eine entsprechende Überarbeitung wäre insbesondere bei bereits vorhandenen Systemen sehr aufwändig.
-
Da die Unabhängigkeit der zwei Versorgungsnetze weiterhin die Einstufung ASIL-D erhält, muss auch der Spannungswandler DCDC als trennendes Element (single point of failure) mit der Einstufung ASIL-D versehen werden.
-
Schließlich führen Fehler in der Vorverteilung beziehungsweise allgemeine Spannungseinbrüche durch konstruktive Überlagerung von Lasten der QM-Systeme sofort zu einem Übergang in den Notmodus und damit zu einem „Liegenbleiber“.
-
2 zeigt ein Blockschaltbild eines elektrischen Versorgungssystems 100. Das elektrische Versorgungssystem 100 dient beispielsweise der Versorgung elektrischer Verbraucher 180, 181, 182, 183 in einem Fahrzeug.
-
Das elektrische Versorgungssystem 100 weist ein erstes Versorgungsnetz 101, ein zweites Versorgungsnetz 102 und ein drittes Versorgungsnetz 103 auf. Das erste Versorgungsnetz 101 ist mit dem dritten Versorgungsnetz 103 über ein erstes steuerbares Trennelement 104 gekoppelt. Ferner ist das zweite Versorgungsnetz 102 mit dem dritten Versorgungsnetz 103 über ein zweites steuerbares Trennelement 105 gekoppelt.
-
Das erste Versorgungsnetz 101 versorgt elektrische Verbraucher 180, 182 mit elektrischer Energie. Dabei weisen die elektrischen Verbraucher 180, 182 einen ersten Sicherheitslevel, beispielsweise ASIL-D, auf. Das zweite Versorgungsnetz 102 versorgt elektrische Verbraucher 181, 182 mit elektrischer Energie. Dabei weisen die elektrischen Verbraucher 181, 182 ebenfalls den ersten Sicherheitslevel auf.
-
Das dritte Versorgungsnetz 103 versorgt elektrische Verbraucher 183 mit einem zweiten Sicherheitslevel, beispielsweise QM, mit elektrischer Energie. Der zweite Sicherheitslevel kennzeichnet dabei eine niedrigere Kritikalität, als der erste Sicherheitslevel. Wie bereits erläutert, kann der erste Sicherheitslevel beispielsweise ASIL-D sein und der zweite Sicherheitslevel QM.
-
Das erste steuerbare Trennelement 104 kann gesteuert das erste Versorgungsnetz 101 elektrisch mit dem dritten Versorgungsnetz 103 koppeln beziehungsweise dieses von dem dritten Versorgungsnetz 103 trennen. Analog zu dem ersten steuerbaren Trennelement 104 kann das zweite steuerbare Trennelement 105 das zweite Versorgungsnetz 102 elektrisch mit dem dritten Versorgungsnetz 103 koppeln beziehungsweise diese von dem dritten Versorgungsnetz 103 trennen. Es versteht sich, dass die steuerbaren Trennelemente 104, 105 eine positive oder eine negative Logik aufweisen können. Dies bedeutet, dass sich bei negativer Logik die steuerbaren Trennelemente 104, 105 ohne eine aktive Ansteuerung in einem geöffneten Zustand befinden und lediglich bei aktiver Ansteuerung eine elektrische Verbindung herstellen. Bei positiver Logik befinden sich die steuerbaren Trennelemente 104, 105 ohne eine aktive Ansteuerung in einem geschlossenen Zustand und trennen lediglich bei aktiver Ansteuerung die elektrische Verbindung.
-
Insbesondere in sicherheitskritischen Anwendungen können die steuerbaren Trennelemente 104, 105 eine negative Logik aufweisen. Ein Ausfall des Steuersignals beziehungsweise des ansteuernden Systems führt so zu einem automatischen Unterbrechen der elektrischen Verbindung.
-
Bei dem elektrischen Versorgungssystem 100 werden im Gegensatz zu dem System der 1 drei separate Versorgungsnetze 101, 102, 103 bereitgestellt. Dabei stellt das dritte Versorgungsnetz 103 die zentrale Verbindung zwischen den drei Versorgungsnetzen 101, 102, 103 dar.
-
Elektrische Verbraucher des ersten Sicherheitslevels, also Verbraucher 180, 181, 182, werden durch das erste Versorgungsnetz 101 oder das zweite Versorgungsnetz 102 oder die zwei Versorgungsnetze 101, 102 versorgt. Da für diese Verbraucher 180, 181, 182 also eine redundante elektrische Versorgung bereitgestellt wird, kann auch hier die Dekomposition von beispielsweise ASIL-D in zwei Versorgungsnetze 101, 102 mit ASIL-B(D) erfolgen.
-
Das erste Versorgungsnetz 101 oder das zweite Versorgungsnetz 102 sind folglich derart ausgebildet, dass diese die Anforderungen des sich durch die Dekomposition ergebenden Sicherheitslevels erfüllen, in dem obigen Beispiel also ASIL-B(D).
-
In dem elektrischen Versorgungssystem 100 werden die beispielhaften elektrischen Verbraucher 180, 181, 182 des ersten Sicherheitslevels durch das erste Versorgungsnetz 101 und das elektrische Versorgungsnetz 102 versorgt. Der Verbraucher 182, der durch das erste Versorgungsnetz 101 und das zweite Versorgungsnetz 102 versorgt wird kann beispielsweise ein Verbraucher 182 sein, dessen Funktion nicht durch einen anderen Verbraucher ersetzt werden kann. Dies trifft beispielsweise auf eine elektrische Lenkung zu. Verbraucher 180 und Verbraucher 181 können sich dagegen ergänzen beziehungsweise komplementäre Funktionen ausführen. Solche komplementäre Funktionen können beispielsweise eine elektrische Bremse und ein Stabilitätssystem sein, da das Stabilitätssystem im Fehlerfall der elektrischen Bremse das Fahrzeug auch abbremsen kann.
-
Bei dem elektrischen Versorgungssystem 100 können das erste Versorgungsnetz 101 und das zweite Versorgungsnetz 102 jeweils separat durch die steuerbaren Trennelemente 104, 105 von dem dritten Versorgungsnetz 103 getrennt werden.
-
Daraus folgt, dass bei jedem Einfachfehler immer entweder das erste Versorgungsnetz 101 oder das zweite Versorgungsnetz 102 die Verbraucher des ersten Sicherheitslevels versorgen kann, die an die zwei Versorgungsnetze 101, 102 angeschlossen sind.
-
Bei einem Fehler in dem ersten Versorgungsnetz 101 kann dieses durch das erste steuerbare Trennelement 104 von dem dritten Versorgungsnetz 103 getrennt werden. Bei einem Fehler in dem zweiten Versorgungsnetz 102 kann dieses durch das zweite steuerbare Trennelement 105 von dem dritten Versorgungsnetz 103 getrennt werden. In beiden Fällen kann aber beispielsweise weiterhin elektrische Energie von dem dritten Versorgungsnetz 103 in das zweite Versorgungsnetz 102 beziehungsweise das erste Versorgungsnetz 101 übertragen werden und die volle Funktionalität der jeweiligen Verbraucher sichergestellt werden. Es ist also zumindest ein sogenannter „Limp Home“ Betriebsmodus möglich und das Fahrzeug wird nicht zu einem sog. „Liegenbleiber“.
-
Bei einem Fehler in dem dritten Versorgungsnetz 103 können sowohl das erste Versorgungsnetz 101 als auch das zweite Versorgungsnetz 102 von dem dritten Versorgungsnetz 103 getrennt werden. Die Verbraucher 180, 181, 182 können dann solange weiterbetrieben werden, bis die Energiespeicher in dem ersten Versorgungsnetz 101 und dem zweiten Versorgungsnetz 102 geleert sind.
-
Die Anzahl und die Anordnung der Verbraucher 180, 181, 182 des ersten Sicherheitslevels ist lediglich beispielhaft zur Veranschaulichung des Prinzips der vorliegenden Erfindung dargestellt. Es versteht sich, dass eine andere Anzahl und andere Arten von Verbrauchern ebenfalls mit der vorliegenden Erfindung eingesetzt werden können.
-
3 zeigt ein Blockschaltbild eines elektrischen Versorgungssystems 200. Das elektrische Versorgungssystem 200 basiert auf dem elektrischen Versorgungssystem 100 und weist folglich ein erstes Versorgungsnetz 201, ein zweites Versorgungsnetz 202 und ein drittes Versorgungsnetz 203 auf. Das erste Versorgungsnetz 201 ist über ein steuerbares Trennelement 204 mit dem dritten Versorgungsnetz 203 gekoppelt und das zweite Versorgungsnetz 202 ist über ein steuerbares Trennelement 205 mit dem dritten Versorgungsnetz 203 gekoppelt. Das erste Versorgungsnetz 201 versorgt elektrische Verbraucher 280, 282 des ersten Sicherheitslevels und das zweite Versorgungsnetz 202 versorgt elektrische Verbraucher 281, 282 des ersten Sicherheitslevels mit elektrischer Energie. Das dritte Versorgungsnetz 203 versorgt Verbraucher 283 des zweiten Sicherheitslevels mit elektrischer Energie.
-
In dem elektrischen Versorgungssystem 200 sind ferner drei Energiequellen beziehungsweise Energiespeicher dargestellt. Das dritte Versorgungsnetz 203 wird durch einen Spannungswandler 210 mit elektrischer Energie versorgt, der die Hauptenergiequelle des dritten Versorgungsnetzes 203 darstellt. Der Spannungswandler 210 kann beispielsweise eine elektrische Spannung aus einer Hochspannungsbatterie in einem Fahrzeug in eine 12-V- oder 48-V-Spannung wandeln und die Verbraucher in dem dritten Versorgungsnetz 203 mit elektrischer Energie versorgen.
-
Über die Kopplung des dritten Versorgungsnetzes 203 mit dem ersten Versorgungsnetz 201 und dem zweiten Versorgungsnetz 202 können im fehlerfreien Betrieb ferner die elektrischen Verbraucher 280, 281, 282 des ersten Sicherheitslevels mit elektrischer Energie aus dem Spannungswandler 210 versorgt werden. Zusätzlich ist in dem ersten Versorgungsnetz 201 und in dem zweiten Versorgungsnetz 202 jeweils eine Versorgungsenergiequelle 211, 212 angeordnet, welche beispielsweise Batterien mit einer entsprechenden Lade-/Entladesteuerung und eine Überwachung der Batterie aufweisen können.
-
Zwischen dem dritten Versorgungsnetz 203 und dem zweiten Versorgungsnetz 202 ist ferner ein Spannungswandler 213 angeordnet. Dieser Spannungswandler 213 ist optional und wird lediglich dann benötigt, wenn die Ladespannung der Batterie in der Versorgungsenergiequelle 212 nicht der Betriebsspannung des dritten Versorgungsnetzes 203 entspricht. Es versteht sich, dass ein solcher Spannungswandler auch zwischen dem dritten Versorgungsnetz 203 und dem ersten Versorgungsnetz 201 vorgesehen werden kann.
-
Obwohl nicht separat dargestellt, versteht sich, dass in den einzelnen Versorgungsnetzen 201, 202, 203 jeweils Elemente zur Leistungsverteilung vorgesehen sein können. Solche Verteiler können lediglich passive Elemente aufweisen und elektrische Leistung an die einzelnen Verbraucher 280, 281, 282, 283 liefern. Insbesondere in dem ersten Versorgungsnetz 201 und in dem zweiten Versorgungsnetz 202 können die Verteiler aber beispielsweise auch Überwachungsfunktionen, beispielsweise Strommessungen und Spannungsmessungen und Überwachung entsprechender Grenzwerte aufweisen. Die Verteiler können bei Erkennen eines Fehlers durch eine Überwachungsfunktion beispielsweise auch einzelne der Verbraucher 280, 281, 282, 283 abschalten beziehungsweise von der Versorgung trennen.
-
Die Architektur des elektrischen Versorgungssystems 200 ermöglicht bei jedem Einfachfehler in dem elektrischen Versorgungssystem 200 die Versorgung der Verbraucher 280, 281, 282 des ersten Sicherheitslevels aus mindestens einer Energiequelle. Insbesondere ist bei einem Einfachfehler in dem ersten Versorgungsnetz 201 oder dem zweiten Versorgungsnetz 202 eine Versorgung der Verbraucher 280, 281, 282 des ersten Sicherheitslevels aus zwei Energiequellen möglich und damit auch ein Weiterbetrieb der jeweiligen Verbraucher 280, 281, 282, eventuell in einem eingeschränkten Modus, möglich.
-
Bei einem Fehler in dem ersten Versorgungsnetz 201 kann beispielsweise das steuerbare Trennelement 204 die Verbindung zwischen dem ersten Versorgungsnetz 201 und dem dritten Versorgungsnetz 203 trennen. Die Verbraucher 281, 282 können dann weiterhin über den Spannungswandler 210 und über die Versorgungsenergiequelle 212 des zweiten Versorgungsnetzes 202 versorgt werden.
-
Bei einem Fehler in dem zweiten Versorgungsnetz 202 kann beispielsweise das steuerbare Trennelement 205 die Verbindung zwischen dem ersten Versorgungsnetz 202 und dem dritten Versorgungsnetz 203 trennen. Die Verbraucher 280, 282 können dann weiterhin über den Spannungswandler 210 und über die Versorgungsenergiequelle 211 des ersten Versorgungsnetzes 201 versorgt werden.
-
4 zeigt ein Blockschaltbild eines Trennelements 304 gemäß der vorliegenden Erfindung. Es versteht sich, dass das Trennelement 304 zwischen dem ersten und dem dritten Versorgungsnetz oder zwischen dem zweiten und dem dritten Versorgungsnetz genutzt werden kann.
-
Das Trennelement 304 weist zwei N-Kanal MOSFETs 322, 323 mit entgegengesetzter Polarität auf, die in Serie angeordnet sind. Ein Anschluss 320 des Trennelements 304 ist folglich mit dem Source Anschluss des ersten MOSFET 322 gekoppelt. Der Drain Anschluss des ersten MOSFET 322 ist mit dem Drain Anschluss des zweiten MOSFET 323 gekoppelt, dessen Source Anschluss mit einem zweiten Anschluss 321 des Trennelements 304 gekoppelt ist. Durch diese Anordnung ist es möglich, dass elektrischer Strom in beide Richtungen über die MOSFETs 322, 323 und damit durch das Trennelement 304 fließt.
-
Die Gate Anschlüsse der MOSFETs 322, 323 sind beide mit einer Steuereinheit 324 gekoppelt. Die Steuereinheit 324 kann Steuersignale für die MOSFETs 322, 323 bereitstellen und diese beispielsweise dann durchsteuern, wenn die jeweiligen Versorgungsnetze miteinander gekoppelt werden sollen. Die Steuereinheit 324 kann beispielsweise die Spannungen (beispielsweise gegenüber einer Fahrzeugmasse) in den Versorgungsnetzen überwachen und bei einer Unterspannung die elektrische Verbindung trennen. Die Steuereinheit 324 kann beispielsweise auch eine Strommessung durchführen. Dazu kann sie beispielsweise die Spannung über einen der MOSFETs 322, 323 messen und basierend auf der gemessen Spannung und dem Durchgangswiderstand des MOSFET 322, 323 den Strom berechnen. Fließt durch das Trennelement 304 ein Strom, der über einem vorgegebenen Schwellwert liegt, kann die Steuereinheit 324 die elektrische Verbindung ebenfalls unterbrechen.
-
Es versteht sich, dass das Trennelement 304 lediglich ein Beispiel für einen möglichen Aufbau eines Trennelements darstellt und dass andere Varianten ebenfalls möglich sind.
-
Zum leichteren Verständnis werden in der folgenden Beschreibung die Bezugszeichen zu den 1-4 als Referenz beibehalten.
-
5 zeigt ein Ablaufdiagramm eines Ausführungsbeispiels eines Verfahrens zum Betreiben eines elektrischen Versorgungssystems 100, 200 in einem Fahrzeug mit elektrischen Verbrauchern 180, 181, 182, 183, 280, 281, 282, 283.
-
In einem ersten Schritt S1 des Versorgens werden elektrische Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 eines ersten Sicherheitslevels über ein erstes Versorgungsnetz 101, 201 mit elektrischer Energie versorgt. In einem zweiten Schritt S2 des Versorgens werden elektrische Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 des ersten Sicherheitslevels über ein zweites Versorgungsnetz 102, 202 mit elektrischer Energie versorgt. In einem dritten Schritt S3 des Versorgens werden elektrische Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 eines zweiten Sicherheitslevels über ein drittes Versorgungsnetz 103, 203 mit elektrischer Energie versorgt. Dabei kennzeichnet der zweite Sicherheitslevel eine niedrigere Kritikalität, als der erste Sicherheitslevel.
-
In einem vierten Schritt S4 des gesteuerten Verbindens wird das erste Versorgungsnetz 101, 201 mit dem dritten Versorgungsnetz 103, 203 in Abhängigkeit eines Zustands des elektrischen Versorgungssystems 100, 200 über ein erstes steuerbares Trennelement 104, 204, 304 verbunden. In einem fünften Schritt S5 des gesteuerten Verbindens wird das zweite Versorgungsnetz 102, 202 mit dem dritten Versorgungsnetz 103, 203 in Abhängigkeit des Zustands des elektrischen Versorgungssystems 100, 200 über ein zweites steuerbares Trennelement 105, 205.
-
Das Verfahren kann ferner das Bereitstellen elektrischer Energie in dem dritten Versorgungsnetz 103, 203 mit einer Hauptenergiequelle 210, und/oder das Speichern oder Bereitstellen elektrischer Energie in dem ersten Versorgungsnetz 101, 201 mit einer ersten Versorgungsenergiequelle 211, und/oder das Speichern oder Bereitstellen elektrischer Energie in dem zweiten Versorgungsnetz 102, 202 mit einer zweiten Versorgungsenergiequelle 212 aufweisen.
-
In dem ersten Versorgungsnetz 101, 201 kann elektrische Energie in einer Fahrzeugbatterie gespeichert oder aus einer Fahrzeugbatterie bereitgestellt werden. In einem fehlerfreien Betrieb des elektrischen Versorgungssystems 100, 200 können die elektrischen Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 des dritten Versorgungsnetzes 103, 203 ferner aus der Fahrzeugbatterie mit elektrische Energie versorgt werden, um beispielsweise Spannungsschwankungen (bis zu einem vorgegebenen Grenzwert) auszugleichen. In dem zweiten Versorgungsnetz 102, 202 kann die elektrische Energie in einem Energiespeicher, insbesondere einer Batterie, gespeichert werden oder aus diesem bereitgestellt werden.
-
In dem zweiten steuerbaren Trennelement 105, 205 kann ferner eine Spannung in dem dritten Versorgungsnetz 103, 203 in eine Ladespannung für die zweite Versorgungsenergiequelle 212 gewandelt werden. Dies ist insbesondere dann der Fall, wenn die Ladespannung für den Energiespeicher in dem zweiten Versorgungsnetz nicht der Betriebsspannung des dritten Versorgungsnetzes 103, 203 entspricht. Analog kann dies auch für das erste Versorgungsnetz erfolgen.
-
Das Verbinden S4, S5 kann durch eine Anzahl von halbleiterbasierten Schaltelementen 322, 323 in einem Lastpfad des ersten steuerbaren Trennelements 104, 204, 304 und/oder des zweiten steuerbaren Trennelements 105, 205 durchgeführt werden. Eine Steuereinheit 324 in dem ersten steuerbaren Trennelement 104, 204, 304 und/oder dem zweiten steuerbaren Trennelement 105, 205 kann dazu mit den halbleiterbasierten Schaltelementen 322, 323 gekoppelt sein und die halbleiterbasierten Schaltelemente 322, 323 beispielsweise basierend auf einem Zustand des elektrischen Versorgungssystems 100, 200 ansteuern.
-
Schließlich kann die Steuereinheit 324 in dem ersten steuerbaren Trennelement 104, 204, 304 den gleichen Sicherheitslevel aufweisen, wie die elektrischen Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 in dem ersten Versorgungsnetz 101, 201. Ebenso kann die Steuereinheit 324 in dem zweiten steuerbaren Trennelement 105, 205 den gleichen Sicherheitslevel aufweisen, wie die elektrischen Verbraucher 180, 181, 182, 183, 280, 281, 282, 283 in dem zweiten Versorgungsnetz 102, 202.
-
Da es sich bei der vorhergehend detailliert beschriebenen Vorrichtungen und Verfahren um Ausführungsbeispiele handelt, können sie in üblicher Weise vom Fachmann in einem weiten Umfang modifiziert werden, ohne den Bereich der Erfindung zu verlassen. Insbesondere sind die mechanischen Anordnungen und die Größenverhältnisse der einzelnen Elemente zueinander lediglich beispielhaft.
-
Bezugszeichenliste
-
- 100, 200
- elektrisches Versorgungssystem
- 101, 201
- erstes Versorgungsnetz
- 102, 202
- zweites Versorgungsnetz
- 103, 203
- drittes Versorgungsnetz
- 104, 204, 304
- erstes steuerbares Trennelement
- 105, 205
- zweites steuerbares Trennelement
- 210
- Spannungswandler
- 211,212
- Versorgungsenergiequelle
- 213
- Spannungswandler
- 320,321
- Anschluss
- 322, 323
- halbleiterbasiertes Schaltelement
- 324
- Steuereinheit
- 180, 181, 182, 183
- elektrischer Verbraucher
- 280, 281, 282, 283
- elektrischer Verbraucher
- S1, S2, S3, S4, S5
- Verfahrensschritte
- FS
- Fahrzeugsystem
- Q1, Q2, Q3
- Energiequelle
- SW
- Schalter
- QM
- Komfortfunktionen
- ASIL
- sicherheitsrelevante Funktionen
- DCDC
- Spannungswandler
- V1, V2
- Verteiler
